細心的朋友應該會發(fā)現(xiàn)，2010年各類應用軟件的安全補丁開始多了起來。特別是的補丁，Adobe軟件安全漏洞曾在2009年大量曝出，Adobe軟件一下成為了新寵，其安全性備受人們關注，Adobe軟件公司在2010年開始時常推出用于修復Adobe Reader或者Acrobat軟件各類安全漏洞的補丁。
在2010年還有一個值得注意的安全動向是各類網頁掛馬、的流行，經常有人誤點了被掛馬的鏈接，結果遭遇、惡意程序的，或者是被釣魚網站所騙倒，賬號密碼甚至是網銀里的錢款被騙走。
可以說，“應用安全”成為了2010年安全的一個主題，而且主要集中在應用軟件安全問題和Web應用安全問題兩方面。應用安全問題不僅存在于個人用戶中，在用戶里應用安全問題也極為重要。2010年造成伊朗核設施部分停擺的惡意程序Stuxnet(也就是所謂的“超級工廠病毒”)，正是利用了伊朗核設備工廠里的企業(yè)級應用軟件SIMATIC WinCC監(jiān)控與數(shù)據(jù)采集(SCADA)系統(tǒng)的漏洞，才成功實現(xiàn)入侵。而在國內，近年來利用Web安全漏洞成為黑客攻擊的主流，很多網站都深受其害，人們關注的焦點也就主要集中在了Web應用安全方面。從2008年開始國內陸續(xù)有不少安全公司開始研發(fā)Web應用，2009年的時候就投入了幾百臺WAF(Web應用防火墻)設備供用戶測試，到了2010年各家安全廠商也開始推出類似產品。
傳統(tǒng)防火墻與Web應用防火墻的區(qū)別
傳統(tǒng)防火墻工作在網絡層，通過地址轉換、訪問控制以及狀態(tài)檢測等功能對企業(yè)網絡進行防護。但對于應用廣泛的，傳統(tǒng)防火墻完全對外部網絡開發(fā)HTTP應用端口，這種方式對Web應用無法做到任何防護。
入侵檢測系統(tǒng)作為防火墻的有利補充，加強了網絡的安全防御能力。但是，入侵檢測技術的作用存在一定的局限性。由于需要預先構造攻擊特征庫來匹配網絡數(shù)據(jù)，對于未知攻擊和或偽裝成正常流量的攻擊，入侵檢測系統(tǒng)不能檢測和防御。更重要的是，對于應用系統(tǒng)中某一漏洞的目標攻擊，他們沒有任何防御能力，因為這些攻擊沒有明顯的特征可供判斷。另外就是其技術實現(xiàn)的矛盾，如果需要防御更多的攻擊，那么就需要很多的規(guī)則，但是隨著規(guī)則的增多，系統(tǒng)出現(xiàn)的虛假報告(對于入侵防御系統(tǒng)來說，會產生中斷正常連接的問題)率會上升，同時，系統(tǒng)的效率會降低。
也正因此，Web應用防火墻應運而生。WEB應用防火墻位于Web客戶端和Web之間，分析應用程序層的，從而發(fā)現(xiàn)違反預先定義好的安全策略的行為。WEB應用防火墻具備事前預防、事中防護及事后補償?shù)木C合能力。以WEB應用防火墻最為核心的事中防護能力為例，WEB應用防火墻作為一種專業(yè)的Web安全防護工具，基于對HTTP/HTTPS流量的雙向解碼和分析，可應對HTTP/HTTPS應用中的各類安全威脅，如SQL注入、XSS、跨站請求偽造攻擊(CSRF)、Cookie篡改以及應用層等，能有效解決網頁篡改、網頁掛馬、敏感信息泄露等安全問題，充分保障Web應用的高可用性和可靠性。
Web應用防火墻的發(fā)展目前有兩個方向，其一向高性能專業(yè)設備的方面發(fā)展，其二是朝Web應用綜合的方面發(fā)展。梭子魚公司技術總監(jiān)谷新給出了自己對傳統(tǒng)防火墻與Web應用防火墻的解讀，他認為傳統(tǒng)防火墻和WEB應用防火墻的本質區(qū)別在于，前者只是針對網絡協(xié)議的第三層網絡層、第四層傳輸層的訪問控制和攻擊防御，而后者深入到應用層對所有應用信息進行過濾，是專門為保護基于Web的應用程序而設計的。
Web應用防火墻的選擇
OWASP(開放式Web應用程序安全項目組織)就有關Web應用防火墻的選擇給出了一個參考標準：
o很少出現(xiàn)誤報(例如，不應該拒絕授權請求等)
o默認防御的強度
o容易操作模式
o可以預防的漏洞類型
o能夠限制個人用戶只能在當前中所看到的內容
o配置預防特定問題的能力，如緊急補丁等
oWAF提供形式：軟件與硬件(一般偏好硬件)
Web應用防火墻(WAF)市場現(xiàn)在標準并不統(tǒng)一，很多不同的產品被歸類到WAF范疇。研究機構Burton Group分析師Ramon Krikken認為，“很多產品提供的功能遠遠超出了我們通常認為防火墻應該具有的功能，這使得產品的評價和比較難以進行?！?/P>
谷新表示標準的Web應用防火墻需要具備四大功能，即安全防護功能、加速功能以及可擴展性、IP審計。另外根據(jù)研究和咨詢公司Xiom創(chuàng)始人Ofer Shezaf提供的清單，下面列出Web應用防火墻應該具備的特性：深入理解HTTP、提供明確的安全模型、應用層規(guī)則、基于會話的保護、允許細粒度政策管理。